《isoiec资讯安全模型》由会员分享，可在线阅读，更多相关《isoiec资讯安全模型（61页珍藏版）》请在金锄头文库上搜索。
1、ISOIEC资讯安全管理模型Stillwatersrundeep.流静水深流静水深,人静心深人静心深Wherethereislife,thereishope。有生命必有希望。有生命必有希望資訊社會威脅類型資訊時代威脅圖國家安全威脅資訊戰士減小國家決策空間及戰略優勢，製造混亂，進行目標破壞情報機構搜集政治、軍事、經濟資訊共同威脅恐怖分子破壞公共秩序，製造混亂，發動政變工業間諜掠奪競爭優勢，恐嚇犯罪團體施行報復，實現經濟目的，破壞制度局部威脅社會型駭客攫取金錢，恐嚇，挑戰，獲取聲望娛樂型駭客以嚇人為樂，喜歡挑戰950320.pptCISMA(kjf)2資訊社會攻擊類型攻擊類型描述被動攻擊被動攻擊包
2、括流量分析、監視未受保護通訊、破解弱金鑰加密的數據流、獲得鑑別資訊(如通行碼)。被動攔截網路操作可以獲得對手將發動的行為的徵兆和警報。被動攻擊會在未經用戶同意與理解的情況下將資訊或數據文件洩漏給系統攻擊者。例如，洩漏信用卡號和醫療文檔等個人資訊。主動攻擊主動攻擊包括企圖破壞或攻擊保護性能、引入惡意程式碼以及偷竊或修改資訊。其實現方式包括攻擊網路樞紐、利用傳輸中的資訊、電子滲透某個區域或攻擊某個正在設法連接到一個飛地(Enclave)上的合法的過程用戶。主動攻擊所造成的結果包括洩漏或傳播數據文件，阻絕服務以及更改數據。實體臨近攻擊實體臨近攻擊指未授權個人以更改、收集或阻絕存取資訊為目的而在物理上
3、接近網路、系統或設備。現實實體臨近攻擊的方式是偷偷進入或開放存取，或兩種方式同時使用。 內部人員攻擊內部人員攻擊可以是惡意的非惡意的，惡意攻擊是指內部人員有計畫地竊聽、或損壞資訊；以欺騙方式使用資訊，或阻絕其他授權用戶的存取。非惡意攻擊則通常粗心、缺乏技術知識或為了“完成工作”等無意間繞過安全策略的行為造成。分發攻擊分發攻擊指的是在工廠內或在產品分發過程中惡意修改硬體、韌體或軟體。這種攻擊可能給一個產品引入後門程式等惡意程式碼，以便日後在未獲授權的情況下存取資訊或執行系統功能。950320.pptCISMA(kjf)3美國通資訊安全發展簡史(一)1.1987年：ComputerSecurity
4、Act。2.1990年：ClarkD.D.etal.:ComputeratRisk:SafeComputingintheInformationAge,NationalAcademyPress。3.1995年：3.1PresidentialDecisionDirective39(PDD-39)：PolicyonCounter-Terrorism(June21,1995)。3.2PaperworkReductionAct(PRA)：美國OMB(OfficeofManagementandBudget)據以頒布CircularNo-A-130(SpecificallyAppendixIII)規定聯邦機
5、構建立包含指定元件之安全計畫，並適時修正。4.1996年：ThePresidentExecutiveOrder13010-CriticalInfrastructureProtection(July15,1996)5.1997年：MarchR.T.etal：TheReportofthePresidentsCommissiononCriticalInfrastructureProtection。6.1998年：PDD-63：CriticalInfrastructureProtection(May22,1998)7.NationalSecurityTelecommunicationsandInfor
6、mationSystemsSecurityInstruction(NSTISSI)No.1000：NationalInformationAssuranceCertificationandAccreditationProcess(NIACAP)。950320.pptCISMA(kjf)4美國通資訊安全發展簡史(二)8.2001年：USAPATRIOTAct：UnitingandStrengtheningAmericabyProvidingAppropriateToolsRequiredtoInterceptandObstructTerrorismAct。9.2002年：9.1：網路安全研究與發展
7、法案（註：2002年2月7日，美國國會通過 美國聯邦政府未來5年撥款8.78億美金，其中5.68億美金做為資訊安全專業學生之獎學金，由美國NSF執行；另外的3.1億美金做為博士後研究等研究計畫獎勵，由美國NIST執行之CyberSecurityResearchandDevelopmentAct(CSRDA)）。）。9.2：FederalInformationSecurityManagementAct(FISMA;December,2003)。10.2003年：10.1TheNationalStrategytoSecureCyberspace(February,2003)。10.2Homelan
8、dSecurityPresidentialDirective(HSPD7):CriticalInfrastructureIdentication,Prioritization,andProtection(December17,2003)。11.2004年：公布執行FISMA之聯邦資訊過程標準第199號(FIPS199)。12.2005年：公布執行FISMA之聯邦資訊過程標準第201號(FIPS201)。950320.pptCISMA(kjf)5NSTISSC安全模式備考：1.NSTISSC:NationalSecurityTelecommunicationsandInformationSyst
9、emSecurityCommittee。2.NSTISSI:NationalSecurityTelecommunicationsandInformationSystemSecurityInstruction。3.Source:NSTISSINo.4011。950320.pptCISMA(kjf)6資訊安全的願景建立任何對通資訊系統關鍵功能的中斷或操縱必須是短暫的、罕見的、易於處理的、地理上孤立的，以及對數位社會繁榮最低限度的危害。之能力，確保資訊安全。Anyinterruptionormanipulationofthesecriticalfunctionsmustbebrief,infrequ
10、ent,manageablegeographicallyisolated,andminimallydetrimentaltothewelfareoftheUnitedStates.PresidentClintoninPDD-63.950320.pptCISMA(kjf)7全面性方法-結合關鍵的評鑑行動一般資訊技術(IT)產品實驗室環境保護剖繪(PP)密碼模組已認證測試實驗室NIAPCCEVSNISTCMVP共同準則(CC)評估FIPS140-2測試有效的產品產品剖繪證據安全標的評估報告確認報告作業環境認證機構真實世界的威脅與脆弱性系統等級PPs特定的IT系統產品一般系統技術性的安全 風險管理
11、人員安全 安全政策 程序安全 系統安全計畫 實體安全標準驗證指導方針認證資料來源：Katzke,S.(2003)ProtectingFederalInformationSystemsandNetworks,InPresentationofthe4thInternationalCommonCriteriaConference,Sept.79,2003,Stockholm,Sweden.950320.pptCISMA(kjf)8美國資訊保證認驗證過程之出版品950320.pptCISMA(kjf)9美國聯邦政府資訊安全管理法案資訊安全管理系統之安全標準暨指導綱要的關連PDCA過程模式NISTISO
12、/IECJTC1/SC27計畫(Plan)FIPS199SP800-18SP800-30SP800-60ISO/IEC13335-1:2004(E)ISO/IECTR13335-3:1998(E)ISO/IECTR13335-4:2000(E)執行(Do)FIPS200SP800-53ISO/IECTR13335-4:2000(E)ISO/IEC17799:2005(E)檢查(Check)SP800-37SP800-53AISO/IEC18045:2005(E)行動(Action)SP800-37ISO/IEC18045:2005(E)950320.pptCISMA(kjf)101.2003瑞
13、士日內瓦召開之世界高峰會(WorldSummitontheInformationSociety，簡稱WSIS):提出原則性聲明(DeclarationforPrinciples)與行動計畫(PlanofAction)。2.WSIS與資訊安全管理模型相關之原則性聲明主要原則: 建立通資訊技術的信賴與安全 建立各層面足以發展的環境3.2005年10月15日出版之資訊安全管理系統需求(ISO/IEC27001:2005(E)成為ISO/IEC27000系列標準之第一分標準。ISO資訊安全管理模型與WSIS950320.pptCISMA(kjf)11ISO/IECJTC1/SC27安全管理模型觀點之C
14、NS標準對照分類分類標準與原則標準與原則對照之對照之CNS標準標準名詞暨使用指導綱要風險管理詞彙風險管理詞彙暨暨標準使用指導綱要：標準使用指導綱要：ISO/IECGuide73:2002(E/F)。CNS14889(2005年年2月月10日公布日公布)。一般性指引一般性指引1.資訊安全管理原則。資訊安全管理原則。2.OECD(請參見備考)。備考：宜遵循備考：宜遵循OECD於於2002年年7月月25日公布之資訊系日公布之資訊系統安全指導綱要的資訊系統與網路安全指導綱統安全指導綱要的資訊系統與網路安全指導綱要要-朝向安全之文化。朝向安全之文化。原則原則資訊安全管理框架：資訊安全管理框架：ISO/I
15、EC13335-1:2004(E)2005年年2月已委外起草中月已委外起草中標準組件標準組件1.資訊安全管理系統：資訊安全管理系統：ISO/IEC27001。2.資訊安全管理之作業要點：ISO/IEC17799:2005(E)。3.風險管理：ISO/IEC13335-2。4.資訊安全管理量度(Metrics)與測量：ISO/IEC24742。1.CNS27001於於2005年年11月已公開徵求意見中。月已公開徵求意見中。2.CNS17799於2005年10月已公開徵求意見中。3.國內尚在蒐集相關資料中。4.國內尚在蒐集相關資料中。應用指引應用指引與增補與增補1.稽核：稽核：ISO19011:2
16、002(E)。2.財務、電信與醫療之資訊安全管理系統指引。1.CNS14809(2004年年4月月20日公布日公布)。2.於財務方面於2002年5月16日參照ISOTR13569:1997(E)公布CNS14644。技術工具盒技術工具盒1.資訊安全事故管理：資訊安全事故管理：ISO/IECTR18044:2004(E)。2.IT入侵偵測框架：ISO/IECTR15947:2002(E)。3.IT網路安全：ISO/IEC18028。4.可信賴第三方服務指導綱要：ISO/IECTR14516:2002(E)。1.2005年年2月已委外起草中。月已委外起草中。2.CNS已完成草案準備。3.國內尚在蒐
17、集相關資料中。4.已有民間建議CNS擬定相關標準。說說明：明：1、資料來源：、資料來源：ISO/IECJTC1/SC27(ITSecurityTechniques)Chairman,Mr.WalterFumy,2004-09-24，暨暨本研究自本研究自行整理。行整理。2、ISO/IEC27001於2005年4月之前的編號是ISO/IEC24743。950320.pptCISMA(kjf)12資訊安全管理系統驗證之ISO觀點950320.pptCISMA(kjf)13ISO/IEC27000系列標準簡述1.ISO/IEC27000：資訊安全管理系統之原則與詞彙。1.ISO/IEC27001：資訊
18、安全管理系統要求，已於2005-10-15公布。2.ISO/IEC27002：ISO/IEC17799：2005(E)於頒布時說明2007年將改版成為ISO/IEC27002。4.ISO/IEC27003：資訊安全管理系統實作指引(Informationsecuritymanagementsystemimplementationguidance)，預定2008年10月公布。5.ISO/IEC27004：資訊安全管理測度與測量(Informationsecuritymanagementmetricsandmeasurements)，預定2006年11月公布。6.ISO/IEC27005：風險管理
19、之原則與實作的通用指導綱要(Generalguidelinesforprinciplesandimplementationofriskmanagement)，2005年09月5-7日召開第1次工作小組會議。7.ISO/IEC27006：資訊與通訊技術災害回復指導綱要(Guidelinesforinformationandcommunicationstechnologydisasterrecoveryservices)，預定2007年11月公布。參考資料：IRCA/299/05/01：2005-12-09，暨作者自行整理。950320.pptCISMA(kjf)141.資訊安全資訊安全(Info
20、rmationsecurity)：保護資訊之機密性、完整性與可用性；得增加諸如鑑別性、可歸責性、不可否認性與可靠性。保護資訊之機密性、完整性與可用性；得增加諸如鑑別性、可歸責性、不可否認性與可靠性。2.機密性(Confidentiality)：資料不得被未經授權之個人、實體或程序所取得或揭露的特性。3.完整性(Integrity)：對資產之精確與完整安全保證的特性。3.1可歸責性(Accountability)：確保實體之行為可唯一追溯到該實體的特性。3.2鑑別性(Authenticity)：確保一主體或資源之識別就是其所聲明者的特性。鑑別性適用於如使用者、程序、系統與資訊等實體。3.3不可否
21、認性(Non-repudiation)：對一已發生之行動或事件的證明，使該行動或事件往後不能被否認的能力。4.可用性(Availability)：已授權實體在需要時可存取與使用之特性。5.可靠性(Reliability)：始終如一預期之行為與結果的特性。6.資料來源：6.1ISO,(2005),InformationtechnologySecuritytechniques-Codeofpracticeforinformationsecuritymanagement,ISO/IEC17799:2005-06-15,2.6節,頁1,ISO。6.2ISO,(2004),Informationtech
22、nology-SecuritytechniquesManagementofinformationandcommunicationstechnologysecurityPart1:Conceptsandmodelsforinformationandcommunicationstechnologysecuritymanagement,ISO/IEC13335-1:2004,ISO.6.3Avizienis,A.etal.,(2004),BasicConceptsandTaxonomyofDependableandSecureComputing,IEEETransactionsonDependabl
23、eandSecureComputing,Vol.1,No.1,pp.1133,IEEE.ISO/IEC17799:2005(E)之資訊安全用語釋義950320.pptCISMA(kjf)15共同準則要求之缺點修補程序的證據內容和表現元件等級11.缺點修補程序文件應描述用來追蹤在每一版本TOE所有報告的安全缺點的程序。2.缺點修補程序應需要提供描述每一安全缺點的本質和效應，以及發現校正的狀態到有缺點。3.缺點修補程序應需要針對每一安全缺點識別更正措施。4.缺點修補程序文件應描述用來為更正動作提供TOE使用者缺點資訊、更正措施和指引的方法。950320.pptCISMA(kjf)16共同準則要求之
24、缺點修補程序的證據內容和表現元件(續)等級2等級1之所有證據內容和表現元件再加上：5.處理所報告之安全缺點的程序，應確保改正任何已報告的缺點，並發出更正措施予TOE使用者。6.處理所報告之安全缺點的程序，應提供對這些安全缺點的任何更正措施不衍生任何新缺點之安全警衛。950320.pptCISMA(kjf)17共同準則要求之缺點修補程序的證據內容和表現元件(續)等級3等級2之所有證據內容和表現元件再加上：7.缺點修補程序應包括程序需要自動分配安全缺點報告的及時回應，和已登記而可能受缺點影響的使用者的相關更正措施。950320.pptCISMA(kjf)18微軟(Microsoft)WSSRA(W
25、indowsServerSystemReferenceArchitecture)發展示意950320.pptCISMA(kjf)19資訊安全管理系統控制措施框架示意說明950320.pptCISMA(kjf)20可信賴資訊系統安全評估準則簡史950320.pptCISMA(kjf)21共同準則3.1版(ISO/IEC15408:2006(E)?與ISO/IEC18045:2006(E)?)預定時程1.2005年07月04日：共同準則3.0版之公開審查與試用開始。2.2005年11月01日：意見收件截止。3.2006年05月：共同準則3.1版發行。4.2006年07月：相關成員背書。5.2008
26、年01月：無共同準則2.1版(ISO/IEC15408:1999(E)之評估。950320.pptCISMA(kjf)22安全概念與關係資料來源：ISO/IECJTC1/SC27WG3(2005)ISO/IECWD15408-1Figure1,p.10。950320.pptCISMA(kjf)23脆弱性評比(RatingofVulnerabilities)資料來源：ISO/IECJTC1/SC27WG3(2005)ISO/IECWD18045：2005(E),p294。評估值範圍02356910141526*抵抗攻擊者潛在入侵成功之能力級別不評比(no rating)基礎(Basic)基礎延伸
27、(ExtendedBasic)適度(Moderate)高(High)超越高級別(Beyond High)950320.pptCISMA(kjf)241.開採花費時間(Timetakentoidentityandexploit，簡稱PAV_TTE)：6組件。2.專業技能需求(Specialisttechnicalexpertiserequired，簡稱PAV_STE)：3組件。3.評估標的設計與操作之知識(KnowledgeoftheTOEdesignandoperation，簡稱PAV_KNO)：4組件。4.機會之窗(Windowofopportunity，簡稱PAV_WOP)：5組件。5.開
28、採所需之資訊技術硬體與軟體或其他設備(IThardware/softwareorotherequipmentrequiredforexploitation，簡稱PAV_HSW)：3組件。潛在脆弱性開採類別(AttemptedExploitationofPotentialVulnerabilities，簡稱PAV)之屬別(Families)與組件(Components)950320.pptCISMA(kjf)25潛在入侵(AttackPotential)計算對照表(*代表超越高度困難之潛在入侵，*代表幾不存在可開採之潛在入侵路徑)因素範圍鑑別參考值小於一天0小於一週1小於一個月4小於三個月13大
29、於三個月26不切實際*門外漢0熟練者2專家5公開0內部資訊1敏感資訊4關鍵資訊10不需要/存取不受限制0容易1適度4困難12無*標準的0特殊的3特製的7資料來源：ISO/IECJTC1/SC27WG3(2005)ISO/IECWD18045：2005(E)p.293。花費時間專業技術層次需具有之評估標的相關知識機會之窗所需之相關設備950320.pptCISMA(kjf)26共同準則對可信賴資訊使用環境之衝擊-以微軟可信賴資訊使用環境生命週期為例950320.pptCISMA(kjf)27MicrosoftWindow2000之似亂數產生器架構950320.pptCISMA(kjf)28微軟公
30、司通過資訊安全評估共同準則產品列表(2005-12-31)產品證書類型(CertificationType)標的獲證日期WindowsXPProfessional,WindowsServer2003(Standard,EnterpriseandDataCenterEdition)1.OperatingSystem2.SensitiveDataProtection3.NetworkManagement&DirectiveServer4.Firewall5.VPN6.DesktopManagementPKI7.EmbeddedSystemOperatingSystem8.WebServerEAL4
31、+:1.ALC_FLR.32005-11-06WindowsServer2003CertificationServerCertificationManagementEAL4+:1.ADV_IMP.22.ALC_FLR.33.AVA_CCA.14.AVA_VLA.42005-11-15950320.pptCISMA(kjf)29微軟公司通過資訊安全評估共同準則產品列表(2005-12-31)(續)產品證書類型(CertificationType)標的獲證日期InternetSecurityandAccelerationServer2004StandardEditionFirewallEAL4+:
32、1.ALC_FLR.12.AVA_VLA.32005-09-20ExchangeServer2003EnterpriseEditionEAL4+:1.ALC_FLR.32005-11-09說明：1.EAL：EvaluationAssuranceLevel。2.PKI：PublicKeyInfrastructure。950320.pptCISMA(kjf)30美國C&A過程計畫之安全控制選擇與實作的攻擊者資源分類示意低中高攻擊者個體戶有組織的團體涉及國家之組織與團體（例：網軍）預算U.S.$1,000,000U.S.$10,000,000U.S.$10,000,000技能自學有計畫之訓練有計畫與
33、控制之訓練說明:C&A:CertificationandAccreditation950320.pptCISMA(kjf)31資訊系統安全風險關連圖示意攻擊手使用工具/技術/方法威脅等級：條件 威脅成真之條件：對策 1、。 阻絕型控制措施 2、。 偵測型控制措施 經由資訊系統暴露之脆弱性造成資訊資產之機密性/完整性/可用性之損失防護等級：基礎、中與高強健級 ：對策 1 防範型控制措施。 2、 反應型控制措施。 ：衝擊 威脅成真之後果 、950320.pptCISMA(kjf)32CNS15408-3(ISO/IEC15408-3)脆弱性評鑑類別之脆弱性分析(AVA_VLA)屬別1.AVA_VL
34、A.1：發展者脆弱性分析(EAL2與EAL3)。2.AVA_VLA.2：獨立的脆弱性分析(EAL4)。3.AVA_VLA.3：中(適)度抵抗(EAL5)。4.AVA_VLA.4：高度抵抗(EAL6與EAL7)。950320.pptCISMA(kjf)33基礎強健級保護剖繪1.保證組件：1.1EAL2。1.2缺點報告程序(ALC_FLR.2)。1.3指引之檢驗(AVA_MSU.1)。2.允許資訊系統之局部：2.1僅限軟體：2.2系統之一部份(例：僅限資料庫)。950320.pptCISMA(kjf)34中強健級保護剖繪1.保證組件(已有)：1.1EAL4。1.2實作評估標的安全功能(ADV_IM
35、P.2)。1.3測試：低階設計(ATE_DPT.2)。1.4缺點報告程序(ALC_FLR.2)。1.5脆弱性評鑑：中度抵抗的(AVA_VLA.3)。950320.pptCISMA(kjf)352.保證組件(擴增)：2.1功能規範(ADV_FSP_(EXP).1)。2.2安全施行(Securityenforcing)之高階設計(ADV_HLD_(EXP).1)。2.3安全施行之低階設計(ADV_LLD_(EXP).1)。2.4架構設計正當化(ADV_ARC_(EXP).1)。2.5組成單位分解(ADV_INT_(EXP).1)。2.6系統性密碼組成單位隱密通道分析(AVA_CCA_(EXP).1
36、)。中強健級保護剖繪 (續)950320.pptCISMA(kjf)36高強健級保護剖繪1.目前以EAL6為標的。2.確定之保證尚在發展中，完成期尚待決定。950320.pptCISMA(kjf)37深度防禦定義這個安全的方法是為了建立適度安全的系統，藉由多層保護的方式來滿足安全形勢上的需要；這種策略的觀念係植基於攻擊必須要突破安置於整個系統的多重保護措施才能得以成功。Thesecurityapproachwherebylayersofprotectionareneededtoestablishanadequatesecuritypostureforasystem;strategyisbase
37、donconceptthatattacksmustpenetratemultipleprotectionsthathavebeenplacedthroughoutthesystemtobesuccessful.950320.pptCISMA(kjf)38說明：1.公開金鑰基礎建設(PublicKeyInfrastructure，簡稱PKI)/金鑰管理基礎建設(KeyManagementInfrastructure，簡稱KMI)。2.偵測與回應。保護網路與基礎建設保護區域使用資訊環境之邊界保護資訊使用環境支撐性基礎建設12操作技術人員多層級的保護層次與方法深度防禦策略人員依恃技術進行操作資訊保證
38、(InformationAssurance)組織功能與公司治理(CorporateGovernance)深度防禦示意說明950320.pptCISMA(kjf)39微軟公司2002提出之深度防禦資訊安全解決方案資料來源：http:/ 運籌於虛擬實境之外，決勝在網頁方寸之內；因人員依侍技術操作，故應根基於技術控制、作業控制、 意外控制與管理控制等4個構面實作。950320.pptCISMA(kjf)41敬請指教Thank You950320.pptCISMA(kjf)42 附錄1:資訊安全管理控制框架與ISO/IEC 27001:2005(E)規範性控制措施，可符合相對應微軟資訊安全管理之產品與
39、文件資源對照對應微軟資訊安全管理之產品/文件資源ISO/IEC 17799:2005(E) 控制措施節碼管理控制之1-風險評鑑(1).Microsoft Baseline Security Analyzer (MBSA).(2).MS Baseline Evaluation (MSBE)(3).Microsoft Risk Assessment (MSRA)(4).SMS(5).AD (Active Directory)(6).Event Viewer(7).Security Policy(Local/Domain)(8).Microsoft Operation Framework(9). M
40、SF Risk Management Discipline(10).Microsoft Enterprise Security Design(11).Writing Secure Code (Chapter 4)(ISBN:0-7356-1722-8)4.2(安全風險評鑑)6.1(內部組織)6.1.16.1.26.1.36.1.46.1.56.1.66.1.76.1.86.2(外部團體)6.2.17.1(資產責任)7.1.17.1.27.1.38.1(聘雇之前)8.1.38.2(聘雇期間)8.2.38.3(聘雇終止或變更)8.3.310.10(監控)10.10.210.10.512.5(開發及
41、支援作業的安全)12.5.112.6(技術脆弱性管理)12.6.114.1(營運持續管理的資訊安全層面)14.1.114.1.215.1(遵守法規要求)15.1.115.1.215.1.315.1.415.1.55.1.6950320.pptCISMA(kjf)43 附錄1:資訊安全管理控制框架與ISO/IEC 27001:2005(E)規範性控制措施的對照，可符合相對應微軟資訊安全管理之產品與文件資源（續）對應微軟資訊安全管理之產品/文件資源ISO/IEC 17799:2005(E) 控制措施節碼管理控制之2-風險處理(1).Inside Windows Server 2003 (ISBN:
42、0-7357-1158- 5)(2).Microsoft Enterprise Security Design(3).Windows 2003 security Target(4).Windows Server System (5).Writing Secure Code (ISBN:0-7356-1722-8)4.2安全風險處理5.1(資訊安全政策)5.1.15.1.26.1(內部組織)6.1.16.1.26.1.36.1.46.1.56.1.66.1.76.1.87.1(資產責任)7.1.38.1(聘雇之前)8.1.310.3(系統規劃與驗收)10.3.210.6(網路安全管理)10.6.
43、210.9(電子商務服務)10.9.111.4(網路存取控制)11.4.511.4.611.4.715.1(遵守法規要求)15.1.115.1.415.1.415.2(遵守安全政策與標準)15.2.115.2.2950320.pptCISMA(kjf)44對應微軟資訊安全管理之產品/文件資源ISO/IEC 17799:2005(E) 控制措施節碼作業控制之1-認知與訓練(1).各Server 的implement .(2).Guide.(3).RAS. (4).Radius(5).Enterprise Security Design(6).Microsoft Operation Framewo
44、rk.(7).MSF Risk Management iscipline.(8).Microsoft Content Management Server.(9). Windows 2003 Security Target (10).Writing Secure Code.5.1(資訊安全政策)5.1.16.2(外部團體)6.2.16.2.26.2.38.2(聘雇期間)8.2.18.2.28.2.310.3(系統規劃與驗收)10.3.110.3.210.4(防範惡意碼與行動碼)10.4.110.4.211.7(行動式電腦作業與遠距工作)11.7.111.7.213.1(通報資訊安全事件與弱點)1
45、3.1.113.1.214.1(營運持續管理)14.1.415.1(遵守法規要求)15.1.115.1.215.1.315.1.415.1.515.1.6作業控制之2-組態管理(1).SMS(2).Visual Source Safe.(3).Active Directory.(4).Security Configuration Wizard.(5).The Microsoft Guide to Security Patch Management.7.1(資產責任)7.1.110.1(安全區域作業程序與責任)10.1.211.6(應用與資訊存取控制)11.611.6.112.4(系統檔案安全)
46、12.4.112.4.212.4.312.5(開發及支援作業的安全)12.5.112.5.212.5.315.1(遵守法規要求)15.1.1 附錄1:資訊安全管理控制框架與ISO/IEC 27001:2005(E)規範性控制措施的對照，可符合相對應微軟資訊安全管理之產品與文件資源（續）950320.pptCISMA(kjf)45對應微軟資訊安全管理之產品/文件資源ISO/IEC 17799:2005(E) 控制措施節碼作業控制之3-事故反應(1).MicrosoftContentManagementServer.(2).MicrosoftSecurityResponseCenter.(3).T
47、heMicrosoftGuidetoSecurityPatchManagement.(4).AntiSpy(5).WUS(6).WindowsBlasterWormRemovalTool(KB833330)(7).WindowsUpdate.6.1(內部組織)6.1.66.2(外部團體)6.2.26.2.310.4(防範惡意碼與行動碼)10.4.110.4.213.1(通報資訊安全事件與弱點)13.1.113.1.213.2(管理資訊安全事故與改善)13.2.113.2.213.2.314.1(營運持續管理的資訊安全層面)14.1.114.1.2作業控制之4-維護(1).ActiveDirec
48、tory.(2).MicrosoftInternetSecurityandAccelerationServer.(3).OutsourcingInformationSecurity(1-58053-531-3)(4).MicrosoftSystemManagementServer.(5).Official(ISC)2GuideTOTHECISSP-ISSEPCBK(0-8493-2341-x).6.2(外部團體)6.2.16.2.26.2.39.2(設備安全)9.2.410.1(通訊與作業管理)10.1.111.4(網路存取控制)11.4.411.5(作業系統存取控制)11.5.111.5.2
49、 附錄1:資訊安全管理控制框架與ISO/IEC 27001:2005(E)規範性控制措施的對照，可符合相對應微軟資訊安全管理之產品與文件資源（續）950320.pptCISMA(kjf)46對應微軟資訊安全管理之產品/文件資源ISO/IEC 17799:2005(E) 控制措施節碼作業控制之5-媒體保護(1).Active Directory(2).Microsoft System ManagementServer. 7.2(資產分類)7.2.17.2.29.2(設備安全)9.2.69.2.710.1(通訊與作業安全)10.1.110.7(處理媒體)10.7.110.7.210.7.310.7
50、.410.8(資訊交換)10.8.215.1(營運持續管理符合性)15.1.115.1.3作業控制之6-實體與環境保護(1).Active Directory(2).Kerberos(3).Microsoft Operations Manager(4).Microsoft System Manager Server.9.1(安全區域)9.1.19.1.29.1.39.1.49.1.59.1.69.29.2.19.2.29.2.39.2.49.2.59.2.69.2.710.2(第三方服務遞送管理)10.2.110.2.210.2.310.5(備份)10.5.110.7(處理媒體)10.7.11
51、1.3(使用者責任)11.3.111.3.211.3.311.7(行動式電腦作業與遠距工作)11.7.111.7.215.1(營運持續管理符合性)15.1.1 附錄1:資訊安全管理控制框架與ISO/IEC 27001:2005(E)規範性控制措施的對照，可符合相對應微軟資訊安全管理之產品與文件資源（續）950320.pptCISMA(kjf)47對應微軟資訊安全管理之產品/文件資源ISO/IEC 17799:2005(E) 控制措施節碼作業控制之7人員安全(1).Active Directory(2).Building an Information Technology Security Aw
52、areness and Training Program(NIST SP800-50)(3).Information Technology Security Training Requirement:A Role and Base Model(NIST 800-16)(4).Kerberos (5).The People Capability Maturity Model(ISBN:0-201-60445-0.6.1(內部組織)6.1.56.2(外部團體)6.2.16.2.26.2.38.1(聘雇之前)8.1.18.1.28.1.38.2(聘雇期間)8.2.18.2.28.2.38.3(聘雇終
53、止或變更)8.3.18.3.28.3.311.2(使用者存取管理)11.2.115.1(遵守法要求)15.1.1作業控制之8-系統與資訊的完整性(1).Windows2003SecurityTarget(2).WritingSecureCode(ISBN:0-7356-1722-8)(3).ActiveDirectory6.1(內部組織)6.1.710.4(防範惡意碼與行動碼)10.4.110.4.210.6(網路安全管理)10.6.2 附錄1:資訊安全管理控制框架與ISO/IEC 27001:2005(E)規範性控制措施的對照，可符合相對應微軟資訊安全管理之產品與文件資源（續）950320.
54、pptCISMA(kjf)48對應微軟資訊安全管理之產品/文件資源ISO/IEC 17799:2005(E) 控制措施節碼作業控制之8-系統與資訊的完整性(4).Microsoft Internet Securityand Acceleration Server(5).Microsoft Operations Manager(6).Microsoft System Management Server(7).Security Configuration Wizard.10.7(處理媒體)10.7.310.10(監控)10.10.110.10.210.10.3 10.10.410.10.510.1
55、0.612.2(應用系統的正確處理)12.2.112.2.212.2.312.2.412.4(系統檔案的安全)12.4.112.5(開發及支援作業的安全)12.5.112.5.212.5.312.5.412.5.512.6(技術脆弱性管理)12.6.1意外控制之1-意外規劃(1).Inside Windows Server 2003 (ISBN 0-7357-1158-5).(2).Security Planning & Disaster Recovery (0-07- 222463-0).(3).Outsourcing Information Security (1-58053-531-3)
56、5.1(資訊安全政策)5.1.15.1.210.3(系統規劃與驗收)10.3.210.4(防範惡意碼與行動碼)10.4.110.4.210.5(備份)10.5.110.8(資訊交換)10.8.110.8.511.7(行動式電腦作業與遠距工作)11.7.111.7.214.1(營運持續管理)14.1.114.1.214.1.314.1.414.1.515.1(營運持續管理符合性)15.1.1 附錄1:資訊安全管理控制框架與ISO/IEC 27001:2005(E)規範性控制措施的對照，可符合相對應微軟資訊安全管理之產品與文件資源（續）950320.pptCISMA(kjf)49對應微軟資訊安全管
57、理之產品/文件資源ISO/IEC 17799:2005(E) 控制措施節碼意外控制之2-脆弱性管理(1).MBSA(2).MicrosoftOperationManagement(3).MicrosoftResponseCenter(4).SecurityPlanning&DisasterRecovery(0-07-222463-0)(5).WindowsServerSystemReferenceArchitecture.6.1(資訊安全政策)6.1.66.1.76.2(外部團體)6.2.26.2.310.4(防範惡意碼與行動碼)10.4.113.1(通報安全事件與弱點)13.1.113.1.
58、213.2(管理安全事故與改善)13.2.113.2.214.1(營運持續管理)14.1.315.1(遵守法規要求)15.1.1技術控制之1-存取控制(1).AD：a.ForestTree；b.OUc.Group；d.GP(2).IPSEC(3).FireWall(4).ISA(5).SecurityPolicy(6).EventViewerSecurity(7).各各Servicelog,ex.SQLerrorlogfile,IISlog(8).DNS6.2(外部團體)15.1.56.2.38.3(聘雇終止或變更)8.3.310.1(安全區域作業程序與責任)10.1.310.6(網路安全管理
59、)10.6.110.6.210.10(監控)10.10.111.1(存取控制的營運要求)11.1.111.2(使用者存取管理)11.2.111.2.211.2.4 附錄1:資訊安全管理控制框架與ISO/IEC 27001:2005(E)規範性控制措施的對照，可符合相對應微軟資訊安全管理之產品與文件資源（續）950320.pptCISMA(kjf)50對應微軟資訊安全管理之產品/文件資源ISO/IEC 17799:2005(E) 控制措施節碼技術控制之1-存取控制(9).Kerberos(10).ActiveDirectory(11).EncryptedFileSystem(12).SSL/TL
60、S(13).SmartCard11.4(網路取控制)11.4.111.4.511.4.61.4.711.5(作業系統存取控制)11.5.1技術控制之2-稽核與可歸責性(1).XML(2).SMTP(3).POP3(4).ED(5).P2P(6).EventviewerApplication,system,Security,DNS.(7).MOM(8).TimeService.(9).ActiveDirectory.(10).Delegateddministration.(11).AuditingImprovement.10.8(資訊交換)10.8.210.9(電子商務服務)10.9.110.1
61、0(監控)10.10.110.10.210.10.310.10.410.10.510.10.612.3(密碼控制措施)12.3.113.2(管理資訊安全事故與改善)13.2.115.1(遵守法規要求)15.1.315.3(資訊系統稽核的考量)15.3.2 附錄1:資訊安全管理控制框架與ISO/IEC 27001:2005(E)規範性控制措施的對照，可符合相對應微軟資訊安全管理之產品與文件資源（續）950320.pptCISMA(kjf)51對應微軟資訊安全管理之產品/文件資源ISO/IEC 17799:2005(E) 控制措施節碼技術控制之3-識別與鑑別(1).AD(2).SecurityPo
62、licy設定(3).Radius(4).TerminalService(5).RAS(RemoteAccessService)(6).Kerberos(7).NTFSSecurity(8).ActiveDirectory(9).SmartCards(10).SSL/TLS(11).InternetAuthenticationServer11.2(特權管理)11.2.311.4(網路存取控制)11.4.211.4.311.5(作業系統存取控制)11.5.111.5.211.5.3技術控制之4-系統與通訊保護(1).SMS(2).WUS(WindowsUpdateService)(3).IPSec
63、.(4).DHCP(5).NTFS-security(6).ExchangeServer(7).SMTP(8).CommunicationService(9).BizTalkServer(10).SmallBusinessServer(12).DNS(13).Radius(14).Firewall(15).User-properties(16).Localsecuritypolicy(17).CA-PKI(18).ActiveDirectory(19).EncryptedFileSystem(20).InternetAuthenticationService(21).IPSec/L2TP/PP
64、TP(22).Kerberos(23).SecurityConfiguration(24).SSL/TLS.7.2(資產分類)7.2.210.4(防範惡意碼與行動碼)10.4.110.4.210.6(網路安全管理)10.6.110.7(處理媒體)10.7.410.8(資訊交換)10.8.110.8.210.8.410.9(電子商務服務)10.9.110.9.210.9.311.4(網路存取控制)11.4.511.4.611.5(作業系統存取控制)11.5.612.3(密碼控制措施)12.3.112.3.213.2(管理資訊安全事故與改善)15.1(遵守法規要求)13.2.115.1.1 附錄1
65、:資訊安全管理控制框架與ISO/IEC 27001:2005(E)規範性控制措施的對照，可符合相對應微軟資訊安全管理之產品與文件資源（續）950320.pptCISMA(kjf)52附錄2:資訊安全管理系統技術性控制措施之說明與實作以Microsoft修補程式作業為例12.6技術脆弱性管理目標：降低來自於利用已公佈的技術脆弱性導致的風險。技術脆弱性管理宜以有效的、系統化的、及可重覆的方式實施，並加以量測以確認其有效性。宜考慮作業系統，以及其它使用中的應用。12.6.1技術脆弱性的控制控制取得關於使用中資訊系統的技術脆弱性之及時資訊，評估組織對該脆弱性的曝露，以及採取適當的量測以處理相關的風險。
66、950320.pptCISMA(kjf)53實作指引有效的技術脆弱性管理的前提是一份目前與完整的資產清冊（見7.1節）。）。需要支援技術脆弱性管理的特定資料包括軟體供應商、版本號碼、目前的部署狀態（例如哪些軟體安裝在哪些系統上）、）、及組織內負責該軟體的人員。採取適當與及時的行動以因應識別出的潛在技術脆弱性。遵循下列指引以建立有效的技術脆弱性管理程序：a)組織宜定義與建立與技術脆弱性管理相關的角色與職責，包括脆弱性監控、脆弱性風險評鑑、修補、資產追蹤、及所需的協調責任；b)用來識別相關技術脆弱性與維持認知的資訊資源宜識別其軟體與其它技術（依資產清冊清單，見7.1.1）；）；這些資訊資源在清冊變
67、更，或發現其它新的或有用的資源時更新；附錄2:資訊安全管理系統技術性控制措施之說明與實作以Microsoft修補程式作業為例(續)950320.pptCISMA(kjf)54c)定義反應潛在的相關潛在技術脆弱性通知的時間表；d)一旦確定有潛在技術脆弱性，組織宜確認相關的風險與將採取的行動，可能包括修補脆弱的系統，以及/或者採用其它控制；e)依據技術脆弱性需要處理的緊急程度，依據變更管理（見12.5.1）相關的控制，或採用資訊全事件反應程序（見13.2），），實施需採取的行動；f)若有可用的修補程式，則評鑑安裝修補程式相關的風險（比較脆弱性造成的風險與安裝修補程式的風險）；）；g)在修補程式安裝
68、之前需測試評估，以保證其有效性與不導致無法容許的副作用；若無可用的修補程式，則考慮其他的控制，如:1)關閉與脆弱性相關的服務或功能；2)採用或增加存取控制，如：防火牆、網路邊界（見11.4.5）；）；3)增加監控以偵測或預防實際的攻擊；4)提昇脆弱性的認知；h)記錄採取的所有程序的稽核日誌；i)定期監控與評估技術脆弱性管理程序，以保證其有效性與效率。j)先處理高風險的系統附錄2:資訊安全管理系統技術性控制措施之說明與實作以Microsoft修補程式作業為例(續)950320.pptCISMA(kjf)55其它資訊技術脆弱性管理程序的正確運作對許多組織是不可或缺的，因此需要經常的監控。精確的財產
69、清冊對確保識別潛在相關的技術脆弱性而言是基本的。技術脆弱性管理能被視為變更管理的次功能，同時能利用變更管理的過程與程序。供應商通常面臨儘快發行修補程式的強大壓力。因此，修補程式可能未充分地處理問題與有負面的副作用。同時，在某些案例中，一旦修補程式起作用，解除安裝可能不容易完成。若不可能充分地測試修補程式，例如：因為成本或缺乏資源，依據其他使用者報告的經驗，考慮延後安裝修補程式以評估相關的風險。附錄2:資訊安全管理系統技術性控制措施之說明與實作以Microsoft修補程式作業為例(續)950320.pptCISMA(kjf)56電腦安全性弱點生命週期(一)資料來源:Brykczynski,B.a
70、ndR.A.Small(2003)Effectivesecuritypatchmanagement,IEEEComputer,Vol.20,No.1,pp.5057。附錄2:資訊安全管理系統技術性控制措施之說明與實作以Microsoft修補程式作業為例(續)950320.pptCISMA(kjf)57電腦安全性弱點生命週期(二)lT0=導致安全性缺點的缺陷產生。lT1=發現弱點。早期公開發現的安全性缺點。lT2=發現弱點。廣泛公開發現的安全性缺點。lT3=發現弱點。組織察覺的的安全性缺點。lT4=組織完成安全性缺點風險評鑑。lT5=軟體廠商公告可用以解決缺點的新安全性相關軟體更新及對策。lT6
71、=組織察覺可用以解決缺點的新安全性相關軟體更新及對策。lT7=組織進行安全性相關軟體更新測試。lT8=核准變更要求。lT9=確認部署軟體更新。lT10=持續性安全性修補程式部署。附錄2:資訊安全管理系統技術性控制措施之說明與實作以Microsoft修補程式作業為例(續)950320.pptCISMA(kjf)58附錄2:資訊系統組態管理實作:以修補程式安裝為例 (一)開始檢查修補程式簽名檢查修補程式內的檔案版本根據修補程式發布日期確定安裝順序查證快速修補程式安裝成功檢查其他產品更新需要重新安裝結束950320.pptCISMA(kjf)59建立測試實驗室作業環境進行系統和網路測試關鍵性應用程式和服務的測試審核與確認修補程式安裝實戰演習附錄2:資訊系統組態管理實作:以修補程式安裝為例 (二)950320.pptCISMA(kjf)60開始將電腦增加到失敗(Fail)組在群組策略中設定電腦自動處理腳本根據修補程式發布日期確定安裝順序結束將電腦增加到成功(Success)組已安裝修補程式將修補程式“推”給這些電腦附錄2:資訊系統組態管理實作:以修補程式安裝為例 (三)950320.pptCISMA(kjf)61
